Включить аутентификацию с единым входом (SSO) на RDS Windows Server

Единый вход (SSO) позволяет аутентифицированному (вошедшему) пользователю получать доступ к другим службам домена без необходимости повторной аутентификации (повторного ввода пароля) и без используя сохраненные учетные данные (включая RDP). Единый вход можно использовать при подключении к серверам Службы удаленных рабочих столов (терминалы). Это не позволяет пользователю, вошедшему в систему на компьютере домена, несколько раз вводить имя своей учетной записи и пароль в окне клиента RDP при подключении к различным узлам RDS или запуске опубликованных приложений RemoteApp.

В этой статье показано, как настроить прозрачный единый вход (единый вход) для пользователей серверов RDS под управлением Windows Server 2022/2019/2016.

Системные требования:

• Сервер посредника подключений и все узлы RDS должны работать под управлением Windows Server 2012 или более поздней версии;

• Вы можете использовать Windows 11,10,8.1 с выпусками Pro/Enterprise в качестве клиентских рабочих станций.

• SSO работает только в доменной среде: необходимо использовать учетные записи пользователей Active Directory, серверы RDS и рабочие станции пользователей должны быть присоединены к одному домену AD;

• На клиентах RDP необходимо использовать RDP 8.0 или новее;

• SSO работает только с аутентификацией по паролю (смарт-карты не поддерживаются);

• Уровень безопасности RDP в настройках подключения должен быть установлен на Согласование или SSL (TLS 1.0), а режим шифрования - на Высокий или . >Соответствует FIPS.

Процесс настройки единого входа состоит из следующих шагов:

• Вам необходимо выпустить и назначить сертификат SSL на серверах RD Gateway, RD Web и RD Connection Broker;

• Web SSO должен быть включен на сервере RDWeb;

• Настроить групповую политику делегирования учетных данных;

• Добавьте отпечаток сертификата RDS доверенным издателям .rdp с помощью объекта групповой политики.

Включите аутентификацию SSO на узле RDS с Windows Server 2022/2019/2016.

Сначала вам необходимо выпустить и назначить SSL-сертификат для вашего развертывания RDS. Расширенное использование ключа (EKU) сертификата должно содержать идентификатор Аутентификация сервера. Процедура получения SSL-сертификата для развертывания RDS не рассматривается. Это выходит за рамки данной статьи (вы можете создать самозаверяющий сертификат SSL самостоятельно, но вам придется развернуть его в доверенном сертификате на всех клиентах, используя групповую политику).

Сертификат назначается в разделе Сертификаты свойств Развертывание RDS.

Затем на всех серверах с ролью веб-доступа к удаленным рабочим столам включите Проверку подлинности Windows для каталога IIS RDWeb и отключите Анонимную проверку подлинности.

После сохранения изменений перезапустите IIS:

iisreset /noforce

Если используется шлюз удаленных рабочих столов, убедитесь, что он не используется для подключения внутренних клиентов (должен быть установлен флажок Обходить сервер шлюза удаленных рабочих столов для локального адреса).

Теперь вам нужно получить отпечаток SSL-сертификата посредника подключений к удаленному рабочему столу и добавить его в список доверенных издателей RDP. Для этого выполните следующую команду PowerShell на узле посредника подключений RDS:

Get-Childitem CERT:\LocalMachine\My

Скопируйте значение отпечатка сертификата и добавьте его в политику Указать отпечатки SHA1 сертификатов, представляющих издателей RDP (Конфигурация компьютера -> Административные шаблоны -> Службы рабочего стола Windows -> Клиент подключения к удаленному рабочему столу).

Настройка единого входа на удаленный рабочий стол на клиентах Windows

Следующим шагом является настройка политики делегирования учетных данных для пользовательских компьютеров.

1. Откройте консоль управления групповой политикой домена (

   gpmc.msc

   );

2. Создайте новый объект групповой политики домена и свяжите его с подразделением с пользователями (компьютерами), которым необходимо разрешить использовать единый вход для доступа к RDS-серверу;

3. Включите политику Разрешить делегирование учетных данных по умолчанию в разделе Конфигурация компьютера -> Административные шаблоны -> Система -> Делегирование учетных данных.

4. Добавьте имена узлов RDS, которым клиент может автоматически отправлять учетные данные пользователя для выполнения аутентификации SSO. Используйте следующий формат для узлов RDS: TERMSRV/rd.contoso.com (все символы TERMSRV должны быть в верхнем регистре). Если вам нужно разрешить отправку учетных данных на все терминалы в домене (менее безопасно), вы можете использовать следующую конструкцию:

   TERMSRV/*.contoso.com

   

Затем, чтобы предотвратить появление окна с предупреждением о том, что удаленный издатель приложения не является доверенным, добавьте адрес сервера, на котором выполняется роль посредника подключений к удаленному рабочему столу, в доверенную зону на клиентских компьютерах с помощью политики «Список назначений сайтов для зон» (аналогично статье Как отключить предупреждение безопасности при открытии файла в Windows 10):

1. Перейдите в раздел GPO Конфигурация пользователя/компьютера -> Администрирование -> Компоненты Windows -> Internet Explorer -> Панель управления Интернетом -> Страница безопасности.

2. Включите политику Список назначения сайтов для зон

3. Укажите полное доменное имя хоста посредника подключений к удаленному рабочему столу и задайте зону 2 (надежные сайты).

Затем вам необходимо включить политику Параметры входа в разделе Конфигурация пользователя/компьютера -> Администрирование -> Компоненты Windows -> Internet Explorer -> Панель управления Интернетом -> Безопасность -> Зона надежных сайтов. . В раскрывающемся списке выберите «Автоматический вход с использованием текущего имени пользователя и пароля».

Затем перейдите к Конфигурация компьютера -> Политики -> Административные шаблоны ->Компоненты Windows -> Службы удаленных рабочих столов ->Клиент подключения к удаленному рабочему столу и отключите политику Запрос учетных данных на клиентском компьютере.

После обновления параметров групповой политики на клиенте откройте клиент mstsc.exe (подключение к удаленному рабочему столу) и укажите полное доменное имя узла RDS. В поле Имя пользователя автоматически отображается ваше имя в формате

user@domain.com

Your Windows logon credentials will be used to connect.

Теперь, когда вы запускаете RemoteApp или подключаетесь напрямую к хосту служб удаленных рабочих столов, вам не будет предложено ввести пароль.

Чтобы использовать шлюз удаленных рабочих столов с единым входом, включите политику Установить метод проверки подлинности шлюза удаленных рабочих столов Конфигурация пользователя -> Политики -> Административные шаблоны -> Компоненты Windows -> Службы удаленных рабочих столов -> Шлюз удаленных рабочих столов) и установите ее значение. чтобы Использовать учетные данные для локального входа.

Чтобы использовать единый вход через Интернет в веб-доступе к удаленным рабочим столам, обратите внимание, что рекомендуется использовать Internet Explorer с включенным компонентом Active X с именем Управление веб-доступом служб удаленных рабочих столов Microsoft (MsRdpClientShell, MsRdpWebAccess.dll).

В современных версиях Windows Internet Explorer по умолчанию отключен, и вместо него вам придется использовать Microsoft Edge. Вы должны открыть этот URL-адрес в Microsoft Edge в режиме совместимости, чтобы использовать RD Web с единым входом (Edge не будет запускать компоненты Active-X без режима совместимости).

Чтобы все клиентские компьютеры могли открывать RDWeb в режиме совместимости, вам необходимо установить объект групповой политики «Административные шаблоны MS Edge» и настроить параметры политики в разделе «Конфигурация компьютера» -> «Административные шаблоны» -> Microsoft:

• Настроить интеграцию с Internet Explorer=Режим Internet Explorer;

• Настроить список сайтов в режиме предприятия. Укажите UNC-путь к файлу SiteList.xml, содержащему список доверенных сайтов.

  Узнайте, как настроить режим совместимости Internet Explorer (IE) в Microsoft Edge.

Возможные ошибки:

• В нашем случае RDP SSO перестал работать на ферме RDS с профилями User Profile Disks после установки обновлений безопасности KB5018410 (Windows 10) или KB5018418 (Windows 11) осенью 2022 года. Чтобы решить проблему, отредактируйте файл подключения *.rdp и измените его. следующую строку:

  use redirection server name:i:1

  

• Если вы не добавили отпечаток SSL сертификата RDCB в список доверенных издателей RDP, при попытке подключения появится предупреждение:

  Do you trust the publisher of this RemoteApp program?

  

• An authentication error has occured (Code: 0x607)

  Убедитесь, что вы назначили правильный сертификат ролям RDS.